CVE-2025-69906

उच्चप्रकाशित

प्रकाशित: 5 फ़र॰ 2026
अद्यतन: 6 फ़र॰ 2026
सीएनए असाइन करना: mitre
साक्ष्य देखे गए: 8 अग॰ 2026

प्राथमिक सीवीएसएस

8.8/ 10उच्च

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

0.7%

कम · अगले 30 दिन

प्रतिशत: 51.6%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

Monstra CMS v3.0.4 में Files Manager प्लगइन में एक मनमानी फ़ाइल अपलोड भेद्यता मौजूद है। एप्लिकेशन ब्लैकलिस्ट-आधारित फ़ाइल एक्सटेंशन सत्यापन पर निर्भर करता है और अपलोड की गई फ़ाइलों को सीधे वेब-सुलभ निर्देशिका में संग्रहीत करता है। विशिष्ट सर्वर कॉन्फ़िगरेशन के अंतर्गत, यह एक हमलावर को ऐसी फ़ाइलें अपलोड करने की अनुमति दे सकता है जिन्हें निष्पादन योग्य कोड के रूप में व्याख्यायित किया जाता है, जिसके परिणामस्वरूप रिमोट कोड निष्पादन होता है।

स्रोत

CVE-2025-69906-Monstra-CMS-3.0.4-Arbitrary-File-Upload-to-RCEPoC
तकनीकी विश्लेषण और प्रूफ-ऑफ-कॉन्सेप्ट CVE-2025-69906 के लिए, जो Monstra CMS 3.0.4 में एक मनमाना फ़ाइल अपलोड कमज़ोरी है, जो ब्लैकलिस्ट बाइपास तकनीकों के माध्यम से रिमोट कोड निष्पादन की ओर ले जाती है।

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।